Tudo o que vale a pena saber, nada do que não vale.
Quem o faz cumprir?
A SDAIA (Autoridade Saudita de Dados e IA) é a entidade reguladora. As penalidades podem chegar a 5 milhões de riais sauditas por violação, com responsabilidade criminal para os responsáveis pela área em casos graves. Nos primeiros 18 meses, a postura da SDAIA em relação à aplicação da lei tem sido corretiva, e não punitiva (advertências, remediação obrigatória), mas a lei permite ações coletivas e a SDAIA declarou explicitamente que as violações em larga escala envolvendo mensagens são uma prioridade.
Residência de dados
Os dados pessoais de indivíduos da Arábia Saudita devem ser processados dentro da Arábia Saudita, a menos que uma das três exceções se aplique: decisão de adequação (a SDAIA ainda não emitiu nenhuma), consentimento explícito e informado para o uso transfronteiriço específico ou autorização da SDAIA. Para mensagens, isso significa que o SMSC, a interface de gestão de campanhas e o armazenamento DLR devem estar localizados no Reino da Arábia Saudita. A BroadNet opera um data center em Riad especificamente para manter os dados dos clientes residentes para contas na Arábia Saudita.
Requisitos de consentimento
O consentimento deve ser informado, específico, livremente concedido e comprovadamente registado. Para marketing por SMS, isso significa um registo de adesão (data e hora, origem, texto exato do consentimento exibido ao utilizador) mantido por 5 anos. A palavra-chave STOP deve ser respeitada em até 24 horas e registada. A CST coordena com a SDAIA a aprovação do ID do remetente para mensagens classificadas como marketing — um ID de remetente sem registos de consentimento comprováveis é revogado.
O que os compradores devem perguntar ao seu agregador
Três perguntas. Onde está fisicamente localizado o meu SMSC quando envio mensagens para números da Arábia Saudita? Onde os meus DLRs e corpos de mensagens são armazenados? Qual é o formato e o período de retenção do registo de consentimento? Qualquer resposta que envolva Frankfurt, Dublin ou Londres é inaceitável para implantações em conformidade com a PDPL.